“rrlsc88”通过精心收集，向本站投稿了2篇概述IIS6.0默认设置安全性的改变，下面是小编给大家带来概述IIS6.0默认设置安全性的改变，一起来阅读吧，希望对您有所帮助。
篇1：概述IIS6.0默认设置安全性的改变
由于Web服务器被越来越多的骇客和蠕虫制造者作为首要攻击目标，IIS便也成为了Microsoft可信赖计算计划中首要关注的内容，因此，IIS 6.0被完全的重新设计，以实现默认安全和设计安全。本文主要讲述了IIS 6.0在默认设置和设计上安全性的改变是如何使其成为关键web应用的平台。
默认安全
过去，包括像微软这样的企业，都在他们的web服务器上安装一系列的默认示例脚本，文件处理和最小文件授权，以提高管理员管理的灵活性和可用性。但是，这些默认设置都增加了IIS的被攻击面，或者成为了攻击IIS的基础。因此，IIS 6.0被设计成了一个比早期产品更安全的平台。最显而易见的变化是IIS 6.0并没有被Windows Server 默认安装，而是需要管理员显式的安装这个组件。其他的变化包括：
・默认只安装静态HTTP服务器
IIS 6.0的默认安装被设置为仅安装静态HTML页面显示所需的组件，而不允许动态内容。下表比较了IIS 5.0和IIS 6.0的默认安装设置：
・默认不安装应用范例
IIS 6.0中不再包括任何类似showcode.asp或codebrws.asp等的范例脚本或应用。这些程序原被设计来方便程序员快速察看和调试数据库的连接代码，但是由于showcode.asp和codebrws.asp没有正确的进行输入检查，以确定所访问的文件是否位于站点根目录下。这就允许攻击者绕过它去读取系统中的任何一个文件（包括敏感信息和本应不可见的配置文件），参考以下链接以获取该漏洞的更多的细节：asp“>www.microsoft.com/technet/treeview/default.asp?
url=/technet/security/bulletin/MS99-013.asp
・增强的文件访问控制
匿名帐号不再具有web服务器根目录的写权限。另外，FTP用户也被相互隔离在他们自己的根目录中。这些限制有效的避免了用户向服务器文件系统的其他部分上传一些有害程序。例如攻击者可以向/scripts目录上传一些有害的可执行代码，并远程执行这些代码，从而攻击web站点。
・虚拟目录不再具有执行权限
虚拟目录中不再允许执行可执行程序。这样避免了大量的存在于早期IIS系统中的目录遍历漏洞、上传代码漏洞以及MDAC漏洞。
・去除了子验证模块
IIS 6.0中去除了IISSUBA.dll。任何在早期IIS版本中，需要该DLL模块来验证的账号，现在需要具有”从网络上访问这台计算机"的权限。这个DLL模块的去除，可以强制要求所有的访问都直接去SAM或者活动目录进行身份验证，从而减少IIS可能的被攻击面。
・父目录被禁用
IIS 6.0中默认禁用了对父目录的访问。这样可以避免攻击者跨越web站点的目录结构，访问服务器上的其他敏感文件，如SAM文件等。当然也请注意，由于父目录默认被禁用，这可能导致一些从早期版本IIS上迁移过来的应用由于无法使用父目录而出错。
安全设计
IIS 6.0设计中安全性的根本改变表现在：改善的数据有效性、增强的日志功能、快速失败保护、应用程序隔离和最小权限原则。
改善的数据有效性
IIS 6.0设计上的一个主要新特性是工作在内核模式的HTTP驱动--HTTP.sys。它不仅提高了web服务器的性能和可伸缩性，而且极大程度的加强了服务器的安全性。HTTP.sys作为web服务器的门户，首先解析用户对web服务器的请求，然后指派一个合适的用户级工作进程来处理请求。工作进程被限制在用户模式以避免它访问未授权的系统核心资源。从而极大的限制了攻击者对服务器保护资源的访问，
IIS 6.0通过在内核模式的驱动中整合一系列的安全机制，以提升其设计上固有的安全性。这些机制包括避免潜在的缓冲溢出，改善的日志机制以辅助事件响应进程和检查用户有效性请求的先进URL解析机制。
为了第一时间的避免潜在的缓冲区和内存溢出漏洞的利用，微软通过在HTTP.sys中进行特殊的URL解析设置以实现IIS 6.0安全设计中的深度防御原则。这些设置还可以通过修改注册表中特定的键值来进一步优化。下表提供了主要注册表键值的位置（均在以下路径HKLMSystemCurrentControlSetServicesHTTPParameters）：
增强的日志机制
一个全面的日志是检测或响应一个安全事故的基础要求。微软也意识到了在HTTP.sys中进行全面的、可靠的日志机制的重要性。HTTP.sys在将请求指派给特定的工作进程之前就进行日志记录。这样可以保证，即使工作进程中断了，也会保留一个错误日志。日志由发生错误的时间戳、来源目的IP和端口、协议版本、HTTP动作、URL地址、协议状态、站点ID和HTTP.sys的原因解释等条目构成。原因解释能够提供详细的错误产生原因的信息，如由于超时导致的错误，或由于工作进程的异常终止而引发的应用程序池强行切断连接而导致的错误。
以下连接可以看到HTTP.sys日志文件的示例：www.microsoft.com/technet/treeview/default.asp
?url=/technet/prodtechnol/iis/iis6/proddocs/resguide/iisrg_log_qlow.asp
快速失败保护
除了修改注册表，IIS 6.0的管理员还可以通过服务器设置，来使那些在一段时间内反复失败的进程关闭或者重新运行。这个附加的保护措施是为了防止应用程序因为受到攻击而不断地出错。这个特性就叫做快速失败保护。
快速失败保护可以按照以下步骤在Internet信息服务管理工具中配置：
1. 在Internet信息服务（IIS）管理器中，展开本地计算机。
2. 展开应用程序池。
3. 在要设定快速失败保护的应用程序池上单击鼠标右键。
4. 选择属性。
5. 选择运行状况选项卡，勾选启用快速失败保护。
6. 在失败数中，填写可以忍受的工作进程失败次数（在结束这个进程之前）。 7. 在时间段中，填写累计工作进程失败次数统计的时间。
应用程序隔离
在早期版本的IIS中（5.0和以前的版本），由于将web应用程序隔离在独立的单元将会导致严重的性能下降，因此没有实现应用程序隔离。通常一个web应用程序的失败会影响同一服务器上其他应用程序。然而，IIS 6.0在处理请求时，通过将应用程序隔离成一个个叫做应用程序池的孤立单元这种设计上的改变，成倍的提高了性能。每个应用程序池中通常由一个或多个工作进程。这样就允许确定错误的位置，防止一个工作进程影响其他工作进程。这种机制也提高了服务器以及其上应用的可靠性。
坚持最小特权原则
IIS 6.0坚持一个基本安全原则--最小特权原则。也就是说，HTTP.sys中所有代码都是以Local System权限执行的，而所有的工作进程，都是以Network Service的权限执行的。Network Service是Windows 2003中新内置的一个被严格限制的账号。另外，IIS 6.0只允许管理员执行命令行工具，从而避免命令行工具的恶意使用。这些设计上的改变，都降低了通过潜在的漏洞攻击服务器的可能性。部分基础设计上的改变、一些简单配置的更改（包括取消匿名用户向web服务器的根目录写入权限，和将FTP用户的访问隔离在他们各自的主目录中）都极大地提高了IIS 6.0的安全性。
IIS 6.0是微软公司在帮助客户提高安全性上迈出的正确一步。它为Web应用提供了一个可靠的安全的平台。这些安全性的提高应归功于IIS 6.0默认的安全设置，在设计过程中就对安全性的着重考虑，以及增强的监视与日志功能。但是管理员不应该认为仅通过简单的迁移到新平台就可以获得全面的安全。正确的做法是应该进行多层面的安全设置，从而获得更全面的安全性。这也与针对Code Red和Nimda病毒威胁而进行的深度安全防御原则是一致的。
篇2：微软改变态度提高软件代码安全性
在“BlackHat”安全会议上被弄得灰头土脸后，微软用了年半的时间努力将其设计文化转向使安全成为其最优先的任务，
最近，有一些 因利用微软软件中的缺陷兴风作浪而遭到逮捕。但据许多计算机安全专家和客户称，更重要的是，去年，微软在改进代码质量方面取得了重大进展。这在客观上提高了犯罪分子利用微软软件中的缺陷兴风作浪的门槛。现在，微软似乎有理由举杯庆祝了。
在上周四、五，微软在其总部举行了“BlueHat”会议，邀请独立的安全研究人员参加。在会议的第一天，研究人员向微软的一些高级官员展示了他们的研究成果。在第二天，微软约9000名编程人员中的500多人参加了会议。
互联网安全系统公司的入侵探测专家梅诺首先赞扬了微软在解决传统计算机威胁方面的成就。但他列举了Windows操作系统处理外设方式中的一个基本错误，从理论上来说，通过将便携式设备插入计算机端口中， 能够在个人电脑中注入恶意软件。他还指出，Xbox60游戏机的安全也存在问题。
研究人员的演示表明，在提高软件安全性方面，微软还有许多工作要做。但是，与会者也都一致认为，在放慢病毒、蠕虫、垃圾邮件、间谍件的传播速度方面，微软已经取得了一些进展。
独立计算机安全研究人员卡明斯基说，微软做得并非至善至美，但与竞争对手相比，它已经取得了重大进展。
微软与其批评者的接触表明了它在计算机安全方面态度的变化。这种转变是在年前开始的，当时，微软负责安全事务的资深官员乔治参加了“BlackHat”会议。
尽管在会上发现微软受到了广泛攻击，乔治第二年又参加了这一会议，并开始赞助一次聚会，与安全研究人员开始接触。后来，他又了新的想法。
他对另一名微软高官说，我们在干什么？这将酿成一场灾难。今年，微软走得更远，它邀请外界的计算机安全研究人员到其总部为编程人员布道，
以前，微软对安全研究人员一直奉行“不接触”的政策。微软的态度在00、00年发生了变化，当时，利用微软软件中缺陷的Blaster和Slammer蠕虫在全球范围内疯狂传播，并威胁到了它与消费者和企业客户的关系。
当时，情况非常严重，微软不得不将其开发活动中止了二个月，对开发人员进行安全编程方面的培训。
卡明斯基表示，微软的这些变化是绝对必要的。他说，安全问题会扼杀Windows。微软愿意与其安全批评者直接接触给他们留下了深刻印象。
计算机安全研究人员斯普尔曼说，战舰正在开始转向。我在这里这件事儿就表明，微软已经发生了多么大的变化，它已经开始明白，我们社区与它同样关心安全。
但梅诺警告称，微软正在濒临攻击将更令人烦恼的时代。他指出，移动设备世界将使目前的安全措施完全不适用。这类设备将使远程 能够跳过防火墙，从一个网络跳到另一个网络，访问企业网络。
他说，攻击的性质将不再是Blaster等全球性蠕虫，因为计算机犯罪活动越来越倾向于盈利，一个缺陷能够给计算机地下社会带来多达5万美元的经济回报。有目标的攻击活动越来越多了。
微软的官员和安全研究人员都表示，00年WindowsXP的发布极大地提高了系统的安全性。微软的官员还将发布的安全公告数量的减少作为新设计理念已经产生效果的证据。
微软说，在年半的时间里，针对Windows000Server的安全公告有69个，同期针对WindowsServer00的安全公告有个。
在发布后的59天中，针对00年版OfficeXP的安全公告有个，同期针对Office00的只有6个。在于去年6月份结束的一年中，针对WindowsXP的安全公告有5个，同期内针对WindowsXP的安全公告只有8个。
